PowerShell
PowerShellتوضیحات
مهاجمان از PowerShell برای اجرای دستورات و اسکریپتهای مخرب استفاده میکنند. PowerShell یک shell تعاملی و زبان اسکریپتنویسی قدرتمند ویندوز است که دسترسی گستردهای به سیستمعامل فراهم میکند. مهاجمان میتوانند از PowerShell برای دانلود payload، اجرای کد در حافظه، دور زدن آنتیویروس و ایجاد پایداری استفاده کنند.
روشهای شناسایی
فعالسازی PowerShell Script Block Logging و Module Logging. نظارت بر اجرای PowerShell با آرگومانهای مشکوک. شناسایی استفاده از encoded commands و obfuscation. بررسی دانلود و اجرای کد از اینترنت.
روشهای مقابله
فعالسازی PowerShell Constrained Language Mode. استفاده از AMSI برای اسکن اسکریپتها. پیادهسازی Just Enough Administration (JEA). بهروزرسانی PowerShell به نسخههای جدیدتر. محدود کردن اجرای اسکریپت با Execution Policy.
تکنیک اصلی
مفسر دستور و اسکریپت
مهاجمان از مفسرهای دستور و اسکریپت برای اجرای دستورات، اسکریپتها یا باینریها سوءاستفاده میکنند. این رابطها و زبانها در اکثر سیستمها به صورت پیشفرض وجود دارند. مهاجمان میتوانند از این ابزارها برای اجرای کد مخرب، دور زدن کنترلهای امنیتی و ایجاد پایداری استفاده کنند.